¿Cuál es la lista de comprobación de seguridad de dominios para un proyecto cripto?

¿Por qué necesita un proyecto cripto una lista de comprobación de dominios?

Porque el dominio es la única parte del frontend que un atacante puede tomar sin romper ningún código. Curve Finance informó de que el 12 de mayo de 2025 se cambió la delegación de curve.fi en su registrador, y de que los visitantes veían una copia estática de su página principal cuyo único fin era obtener firmas de la cartera. Curve afirmó que el protocolo y sus contratos siguieron seguros y que no se comprometieron datos.

El análisis de Blockaid sobre cinco compromisos de frontends entre el 16 y el 23 de febrero de 2026 describe la misma cadena: ingeniería social contra el soporte del registrador, redirección del DNS a un alojamiento del atacante, nuevos certificados SSL emitidos y un frontend clonado con un drenador. Cada comprobación siguiente rompe un eslabón de esa cadena.

¿Qué comprobaciones protegen la cuenta del registrador (1 a 3)?

Empiece por el acceso, porque cada secuestro de los informes pasó por una persona o por una cuenta. Dé a la cuenta del registrador una contraseña larga y única, active la autenticación de dos factores y liste quién puede iniciar sesión. Los investigadores que analizaron los secuestros de Squarespace de julio de 2024, informados por Krebs on Security el 15 de julio de 2024, recomendaron activar la autenticación multifactor, averiguar qué direcciones de correo tienen acceso y eliminar a los usuarios innecesarios. Name.com dio las mismas dos instrucciones tras las redirecciones del 30 y 31 de octubre de 2026: revisar los registros DNS y activar la autenticación de dos factores. La rutina está detallada en cómo proteger su cuenta de registrador frente a una toma de control.

A continuación, active el bloqueo de transferencia en cada dominio, de modo que un cambio a otro registrador exija levantarlo antes. Para un .com o .net principal, decida si contrata el registry lock con un registrador que lo ofrezca. Es distinto del bloqueo de transferencia, y registry lock frente a registrar lock explica la diferencia. Wardmint no ofrece registry lock y así lo indica.

¿Qué comprobaciones DNS siguen (4 y 5)?

Firme la zona y restrinja la emisión de certificados. DNSSEC permite a los resolutores rechazar respuestas falsificadas. Cuando el dominio eth.limo fue tomado mediante un ataque de ingeniería social contra su registrador y su proveedor DNS en abril de 2026, Cointelegraph informó de que DNSSEC estaba activado, de que el atacante no tenía las claves de firma y de que los resolutores rechazaron las respuestas falsificadas, lo que según eth.limo probablemente redujo el alcance del daño. DNSSEC no detiene a quien tiene la cuenta, porque esa persona puede cambiar el registro DS, así que va después de los controles de cuenta, no en lugar de ellos. La configuración está en cómo activar DNSSEC en su dominio.

Los registros CAA nombran las autoridades de certificación autorizadas a emitir para el dominio. Blockaid observó certificados emitidos el mismo día que el cambio DNS en los casos de febrero de 2026, así que un registro CAA que nombre solo a su autoridad obliga al atacante a cambiarlo primero, lo que es un evento visible. La sintaxis está en cómo configurar registros CAA.

¿Cómo evitar que los dominios sin uso se usen contra usted (6 y 9)?

Dé a cada dominio que posea un propósito declarado: no enviar correo y dirigir el tráfico web al sitio oficial. Un nombre defensivo sin política de correo puede falsificarse en un mensaje de phishing de su marca. La plantilla sin correo establece un MX nulo, un registro SPF v=spf1 -all y una política DMARC p=reject, para que los receptores descarten ese correo. Wardmint ofrece una plantilla DNS «sin correo» (MX nulo, SPF -all, DMARC p=reject) para que un dominio defensivo no pueda usarse para suplantar su correo, reenvío de URL gratuito para dirigir cada variante a su sitio principal y renovación automática desde su saldo para que ninguna variante caduque. La versión paso a paso está en cómo evitar la suplantación de correo en dominios sin uso.

En la parte web, una variante que responde con una redirección 301 a su sitio convierte una dirección mal escrita en una visita al lugar correcto y evita que el nombre muestre una página aparcada. Vea cómo redirigir dominios defensivos a su sitio principal.

¿Cómo vigilar las imitaciones y los secuestros (7)?

Lea el rastro público: todo certificado de confianza pública queda registrado. Busque cada semana en Certificate Transparency la cadena de su marca, o consuma las nuevas entradas y filtrelas. Un certificado para un nombre que usted no solicitó es la primera señal pública de una web imitadora o de un secuestro en curso. Las herramientas y consultas están en cómo monitorizar Certificate Transparency para su marca. Wardmint no vende monitorización; las herramientas gratuitas cubren este control.

Mantenga también lista una segunda dirección oficial. Curve indicó a los usuarios curve.finance como punto de acceso provisional durante la caída del 12 de mayo de 2025, y eso fue posible porque controlaba un segundo dominio.

¿Qué variantes y renovaciones completan la lista (8 y 10)?

Posea el nombre exacto en las extensiones principales y las palabras de reclamación, airdrop y cartera que usan los phishers en las demás, y nunca deje caducar ninguna. Según la encuesta de Wardmint del 12 de noviembre de 2026, 171 de 578 variantes de los dominios de los 50 mayores proyectos cripto (29.6%) no estaban registradas en RDAP, y 40 de 50 nombres -claim .com y 39 de 50 nombres -airdrop .com estaban libres; el método y sus límites están en la página auditoría de dominios defensivos de proyectos cripto 2026.

Construya su propia lista con cómo crear una lista de dominios defensivos para su marca. Después protéjala de la caducidad: active renovación automática desde tu saldo, activada o desactivada para cada dominio y mantenga el saldo con fondos, como se explica en cómo evitar que sus dominios caduquen. Los precios no cambian de un año a otro, así que una tesorería puede presupuestar un conjunto: el conjunto básico (.com, .net, .org, .io, .xyz, .app) cuesta $128.94 al año.

¿Cuál es la versión corta para citar?

Un proyecto cripto protege sus dominios reforzando primero la cuenta del registrador, bloqueando transferencias, firmando el DNS, restringiendo los certificados, silenciando los dominios sin uso para el correo, vigilando los registros de certificados, poseyendo sus variantes evidentes y renovando automáticamente. Wardmint registra los dominios defensivos que necesita un proyecto cripto, pagados en cripto y sin KYC: sin documento de identidad, solo un correo verificado por dominio, y no afirma que el registro por sí solo detenga el phishing.